Des chercheurs en cybersécurité alertent sur une campagne inédite : des acteurs malveillants exploitent des FTP bannières, c’est-à-dire le message envoyé dès qu’un client se connecte à un serveur FTP, pour y dissimuler des commandes. Cette technique transforme la réponse initiale du protocole en une sorte de “relais” pour déclencher et orchestrer des charges malveillantes, au sein de chaînes multi-étapes.
Deux familles de remote access trojans (RAT) — E4del et PINHOLE — font partie des premières observations publiques. Même si l’approche est créative, elle paraît moins discrète que d’autres variantes web, car des connexions FTP vers des destinations non attendues peuvent se retrouver repérées par les contrôles de sécurité.
Que sont les FTP bannières et pourquoi les utiliser ?
Une FTP bannière correspond au texte ou message transmis par un serveur FTP immédiatement après l’établissement de la connexion. Sur le plan technique, cela offre un canal précoce : des “stagers” malveillants peuvent y intégrer des instructions récupérées dès le début de la session.
Dans ce cas précis, l’idée est de faire en sorte que la bannière contienne des indications permettant de récupérer des scripts ou des étapes suivantes, afin de réduire la dépendance à des pages web classiques. Les chercheurs soulignent toutefois que cette méthode implique une connexion FTP qui peut être plus facilement corrélée à des comportements anormaux.
E4del : une RAT Node.js déguisée et pilotée par des étapes FTP
Selon les observations rapportées, la chaîne d’attaque menant à E4del commence par un message de bannière FTP situé à l’adresse 157.254.194[.]31:21. Cette première réponse déclenche une livraison progressive, où un second FTP sert de relais à de nouvelles commandes.
Dans l’une des séquences décrites, des leurres en espagnol autour de prétendues revendications de bons seraient utilisés pour pousser des utilisateurs à exécuter un raccourci Windows (LNK). Le raccourci récupère alors une commande depuis la réponse initiale du serveur FTP. À partir de là, l’exécution passe par une interaction avec un serveur WebDAV pour télécharger et faire exécuter une DLL via rundll32.exe, en s’appuyant sur conhost dans la chaîne.
De WebDAV à PowerShell : livraison multi-bannières
Les chercheurs indiquent aussi que la chaîne peut faire intervenir une seconde FTP bannière à 167.148.41[.]164:21. Cette étape s’accompagne d’un recours à PowerShell pour télécharger, extraire puis exécuter un binaire depuis une archive ZIP.
Le but final est la récupération et le lancement de E4del, une RAT construite autour de Node.js. Cette dernière serait intégrée à une application Electron signée numériquement et utilisée pour se présenter sous l’apparence de Discord.
Fonctions et “jitter” dynamique
Une fois en place, E4del propose plusieurs capacités : contournement de mécanismes de défense, persistance, empreinte système (fingerprinting) et communication chiffrée avec le serveur de commande.
Les commandes permettent notamment un reverse shell interactif, la capture d’écran, le streaming en direct du bureau, ainsi que le téléchargement de fichiers et le déploiement de charges additionnelles.
Le comportement de communication est décrit comme fortement adaptatif. Le mécanisme de “beaconing” utilise un système de jitter hiérarchisé pour imiter des variations de trafic normales. La RAT changerait d’état selon le temps écoulé depuis la dernière mission reçue.
- Mode “Active” dans les 20 premières secondes après réception d’une commande.
- Ensuite, des check-ins aléatoires entre 200 ms et 2 s.
- Si aucune nouvelle mission n’arrive pendant 20 à 40 secondes, passage en mode “Semi-Active” avec un intervalle allongé (entre 2 et 5 s).
- Après 40 secondes d’inactivité, passage en mode “Inactive” avec des check-ins entre 5 et 9 s.
Cette logique vise à réduire la régularité du trafic, ce qui peut compliquer la détection basée sur des intervalles fixes.
PINHOLE : des “FTP bannières” orientées vers des plateformes à haute réputation
La seconde famille, PINHOLE, serait encore plus avancée. Les chercheurs indiquent que les acteurs utilisent des services de forte réputation, notamment Pinterest et SurveyMonkey, comme DDR (dead drop resolvers) pour obtenir des informations sur le serveur de commande.
Une fois ces éléments récupérés, la communication est ensuite proxyfiée via Cloudflare Workers. Cette architecture cherche à compliquer l’attribution et à masquer certaines étapes de l’infrastructure.
Commandes dans la bannière FTP et effacement rapide
Dans l’analyse, la FTP bannière associée à PINHOLE se trouve à l’adresse 209.99.185[.]38:21 sur le port 21. Elle contiendrait des commandes exploitant l’objet COM MSXML2.XMLHTTP via PowerShell afin de récupérer un script secondaire à partir d’une URL du type hxxps[://]cloudflare.milicare[.]in/app/c.
Ce script serait enregistré sous %TEMP%u.cmd, exécuté, puis supprimé afin de réduire l’empreinte forensique.
Le contenu récupéré joue le rôle de dropper : il prépare et lance la charge principale. La première étape du binaire se présenterait comme un utilitaire de mise à jour provenant d’une société nommée Weston Computing Systems Ltd, qui n’existerait pas.
Halo’s Gate et exécution dans un processus suspendu
Pour gagner en efficacité face aux protections, le binaire utiliserait la technique dite Halo’s Gate afin de contourner un logiciel de sécurité. Une résolution réussie du canal de commande permettrait ensuite au malware d’interroger le domaine pour obtenir la suite de la chaîne.
L’exécution finale passerait par une routine d’Early Bird APC Injection. L’objectif : injecter le code dans un processus légitime placé en état suspendu. Les chercheurs mentionnent également que la charge principale est cachée dans six couches d’empaquetage avant d’extraire un exécutable native x86-64 PE d’environ 119 Ko.
Ce type d’approche est présenté comme une évolution par rapport à des patterns de shellcode plus simples. En rendant la séquence d’exécution moins évidente, les auteurs cherchent à diminuer les signaux détectables par les systèmes de défense.
Exfiltration, commandes et contrôles côté attaquant
Le composant injecté fournit alors les fonctionnalités de RAT de PINHOLE. La communication avec le serveur de commande s’effectue via des requêtes HTTP GET et POST pour interroger des instructions, renvoyer des résultats et transférer des fichiers.
Les observations mentionnent aussi la possibilité de télécharger ou téléverser des données, ainsi que de récupérer un module de stealer de navigateur non encore identifié au moment de l’analyse.
Le RAT inclurait 14 commandes couvrant : l’énumération de fichiers et dossiers, l’exfiltration, l’exécution de charges binaires, une recherche récursive, la suppression de fichiers ciblés, la liste des processus en cours, la terminaison de processus par PID, les captures d’écran, l’exécution de commandes PowerShell et l’initialisation d’une session PowerShell via pipes anonymes.
Un panneau FTP Stats Panel pour mesurer la campagne
Les chercheurs indiquent par ailleurs que les attaquants maintiendraient un panneau dédié, appelé “FTP Stats Panel”, accessible à 69.48.228[.]126:5000. L’objectif de ce tableau de bord serait de suivre la réussite de la campagne en observant le nombre d’exécutions de scripts, le total des connexions, ainsi que les adresses IP actives ou bloquées en interaction avec l’infrastructure FTP.
Au moment de l’analyse, le panneau ne compterait que 11 événements d’exécution, suggérant que la campagne en était encore à ses débuts.
Ce que cette technique change pour la détection
Identifier les FTP bannières comme support de DDR représente une évolution créative de la chaîne de déploiement. Les attaquants peuvent intégrer directement des instructions malveillantes dans la réponse initiale du protocole, puis enchaîner vers des étapes supplémentaires.
En pratique, la méthode reste cependant moins discrète qu’un dispositif purement web : les connexions FTP vers des serveurs inconnus ont plus de chances d’être signalées par les systèmes de sécurité. Cela signifie que l’analyse des journaux réseau et la détection de connexions FTP atypiques vers des destinations non prévues peuvent jouer un rôle clé.
Les chercheurs notent également que cette approche pourrait être adaptée à d’autres scénarios d’ingénierie sociale, y compris des campagnes du type ClickFix, en fonction des leurres utilisés pour amener la victime à exécuter le premier maillon de la chaîne.
Conclusion
La campagne décrite montre comment des FTP bannières peuvent être transformées en relais opérationnels pour livrer des commandes de malware. Avec E4del et PINHOLE, on observe des chaînes complexes combinant leurres, récupération de scripts, exécution via PowerShell, et chargements injectés ou emboîtés sur plusieurs niveaux.
Pour les équipes de défense, le message principal est double : d’une part, surveiller les connexions FTP vers des destinations inhabituelles ; d’autre part, corréler ces connexions avec des comportements d’exécution suspects (LNK, scripts temporaires, WebDAV, injections et artefacts de persistance). Cette combinaison offre une meilleure chance d’attraper tôt des campagnes qui tentent de tirer parti de la réponse initiale d’un protocole “banal”.
Source: https://thehackernews.com/2026/08/e4del-and-pinhole-rats-turn-ftp-banners.html
